1. Una vulnerabilidad de carga previa a la autenticación puede utilizarse para cargar un archivo PHP arbitrario en un directorio restringido con un nombre de archivo aleatorio.
2. Usando la misma función vulnerable, cargamos un archivo de configuración PHP (.ini) que apunta y carga el archivo PHP del paso 1 usando la directiva auto_prepend_file.
3. Como todas las variables de entorno pueden configurarse mediante solicitudes HTTP, sobrescribimos la variable de entorno PHPRC para cargar el archivo de configuración PHP del paso 2 y desencadenar la ejecución de la función PHP declarada en el paso 1.

Uso

La función PHP se puede especificar usando la bandera —payload; sin embargo, php_uname() está configurada por defecto.

python watchtowr-vs-junos_juniper_2023-08-25.py --url http://localhost

python watchtowr-vs-junos_juniper_2023-08-25.py --url http://localhost --payload "get_current_user()"

Mitigaciones

Actualice a la última versión de JunOS y/o aplique los parches proporcionados por Juniper. Si estas acciones no son posibles, utilice la solución alternativa proporcionada por Juniper.

https://supportportal.juniper.net/s/article/2023-08-Out-of-Cycle-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Multiple-vulnerabilities-in-J-Web-can-be-combined-to-allow-a-preAuth-Remote-Code-Execution?language=en_US